devops
1bcae76102
Agrega a deploy-docs.yaml las mismas 6 etapas ya validadas en build.yaml (run 134, frontend): Gitleaks, Trivy IaC, Semgrep (SAST), Trivy imagen, Syft (SBOM) y Cosign (firma + verificación). Adaptaciones de stack: - Trivy IaC escanea todo workloads/docs-portal/ (varios manifiestos K8s separados: deployment/service/ingress), no un MANIFEST_FILE único como el frontend. - Semgrep usa p/python + p/security-audit (no hay TypeScript/React acá) -- docs-portal no tiene código de aplicación propio hoy (solo Markdown + config de MkDocs), así que 0 hallazgos es el resultado esperado; el stage queda listo para el día que se agregue un hook/plugin en Python. Mismos umbrales que el resto: Trivy bloquea en CRITICAL, Semgrep en modo auditoría. Reutiliza el mismo par de llaves Cosign (secrets ya existentes a nivel de repo); se agrega workloads/docs-portal/cosign.pub.